Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — Политика) составлена в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, предпринимаемые Индивидуальным предпринимателем Котеневым Филиппом Андреевичем (ИНН 710306461808, далее — Оператор) — брейк-школа «Сила ритма», г. Тула.

1.2. Оператор ставит своей важнейшей целью и условием осуществления своей деятельности соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.3. Настоящая Политика применяется ко всей информации, которую Оператор может получить о посетителях сайта https://rhythmforce.ru/ (далее — Сайт), в том числе через форму записи на пробное занятие, личный кабинет родителя и рабочий кабинет сотрудников школы.

1.4. Занятия школы рассчитаны на детей и подростков. Персональные данные несовершеннолетних обрабатываются с согласия их родителей (законных представителей) — см. раздел 6.

2. Основные понятия

2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

2.2. Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными.

2.3. Субъект персональных данных — посетитель Сайта, лицо, оставившее заявку, занимающийся школы, его родитель (законный представитель), пользователь личного кабинета.

2.4. Законный представитель — родитель, усыновитель, опекун или попечитель несовершеннолетнего.

3. Какие данные обрабатывает Оператор

3.1. Заявка на пробное занятие (форма «Записаться на пробное»):

• фамилия и имя занимающегося (ребёнка);
• имя родителя (законного представителя);
• номер телефона для связи;
• комментарий, если он заполнен (например, возраст ребёнка, удобный зал);
• IP-адрес и время отправки заявки — только для защиты формы от спама и повторных отправок.

3.2. Данные занимающихся и их родителей (учёт занятий и личный кабинет родителя):

• фамилия и имя занимающегося, имя родителя (законного представителя);
• номер телефона;
• сведения об абонементах и оплатах: вид абонемента, дата покупки и срок действия, количество занятий;
• сведения о посещениях: дата, зал, группа, тренер.

3.3. Данные сотрудников, работающих в кабинете школы: имя, роль, персональный PIN-код (хранится только на сервере), IP-адрес при входе — для защиты от подбора PIN-кода.

3.4. Автоматически собираемые данные сервисом Яндекс Метрика — только после согласия посетителя: IP-адрес, данные cookie, сведения о браузере и устройстве, источник перехода, просмотренные страницы, дата и время посещения.

3.5. В браузере посетителя Сайт сохраняет технические отметки: о выборе в плашке cookie; о входе в личный кабинет на время сеанса; о запомненном входе сотрудника (не дольше 30 дней).

3.6. Оператор не обрабатывает специальные категории персональных данных (расовую, национальную принадлежность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимную жизнь) и биометрические персональные данные. Просим не указывать такие сведения в комментарии к заявке.

4. Цели обработки персональных данных

4.1. Оператор обрабатывает персональные данные в следующих целях:

• обработка заявки, связь с родителем или занимающимся и запись на пробное занятие;
• оказание услуг по проведению занятий: учёт абонементов, оплат и посещений, составление расписания;
• предоставление родителю доступа к личному кабинету со сведениями об абонементе и посещениях ребёнка;
• обеспечение безопасности Сайта и данных, защита от спама и подбора PIN-кодов;
• анализ посещаемости и улучшение работы Сайта (Яндекс Метрика, только с согласия посетителя).

5. Правовые основания обработки

5.1. Правовыми основаниями обработки персональных данных являются:

• согласие субъекта персональных данных (его законного представителя): при отправке заявки — отметка «Даю согласие на обработку персональных данных» в форме; для Яндекс Метрики — нажатие кнопки «Принять» в плашке cookie;
• заключение и исполнение договора об оказании услуг, стороной или выгодоприобретателем по которому является субъект персональных данных;
• законные интересы Оператора по обеспечению безопасности Сайта — для технических данных, указанных в п. 3.1 и 3.3.

6. Данные несовершеннолетних

6.1. Заявку на пробное занятие за ребёнка оставляет родитель (законный представитель). Отправляя заявку, он подтверждает, что является законным представителем ребёнка, и даёт согласие на обработку его персональных данных и данных ребёнка в соответствии с настоящей Политикой.

6.2. Если заявку оставил сам несовершеннолетний, Оператор до записи на занятие связывается с его родителем (законным представителем). Если родитель не подтверждает запись, заявка удаляется.

6.3. Родитель видит в личном кабинете только данные своих детей.

7. Порядок и условия обработки

7.1. Оператор обрабатывает персональные данные следующими способами: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.

7.2. Обработка осуществляется как с использованием средств автоматизации, так и без их использования.

7.3. Доступ к персональным данным имеют только сотрудники Оператора, которым он нужен для работы, и только в пределах их роли (администратор, тренер).

7.4. Персональные данные хранятся на серверах, расположенных на территории Российской Федерации. Трансграничная передача персональных данных не осуществляется.

8. Передача персональных данных третьим лицам

8.1. Оператор поручает обработку или передаёт персональные данные следующим лицам:

• ООО «Бегет» — хостинг: размещение Сайта и базы данных;
• ООО «ВК» — сервис сообщений ВКонтакте: уведомление о новой заявке (имя, имя родителя, телефон, комментарий) приходит сотрудникам школы в закрытую беседу сообщества;
• ООО «Яндекс» — сервис Яндекс Метрика, только после согласия посетителя.

8.2. Оператор не продаёт персональные данные и не передаёт их третьим лицам в иных целях, кроме указанных в настоящей Политике, за исключением случаев, предусмотренных законодательством Российской Федерации.

9. Сроки хранения персональных данных

9.1. Заявки, по которым занятия не начались, — не более 1 года с момента последнего контакта, затем удаляются. Уведомления о таких заявках в беседе ВКонтакте удаляются в тот же срок.

9.2. Данные занимающихся и их родителей — в течение срока оказания услуг и 3 лет после последнего посещения, если более длительный срок не требуется по закону (например, для бухгалтерского и налогового учёта).

9.3. Технические данные для защиты от спама и подбора PIN-кодов — не дольше нескольких суток.

9.4. Резервные копии базы данных хранятся на сервере не дольше 2 месяцев и заменяются новыми.

9.5. Данные cookie Яндекс Метрики хранятся в соответствии с правилами сервиса, но не более 1 года; отметка о выборе в плашке cookie — до её очистки в браузере.

9.6. При отзыве согласия или достижении целей обработки данные уничтожаются в сроки, указанные в разделе 12.

10. Меры по обеспечению безопасности персональных данных

10.1. Оператор принимает следующие меры для защиты персональных данных:

• Шифрование при передаче. Сайт работает только по HTTPS, обычный HTTP перенаправляется на защищённый адрес.
• Хранение данных вне открытого доступа. База клиентов лежит на сервере в отдельной папке вне публичной части сайта и не открывается по прямой ссылке.
• Доступ по персональным PIN-кодам. У каждого сотрудника свой PIN-код, проверка идёт на сервере, список PIN-кодов в браузер не передаётся.
• Защита от подбора. После 5 неверных попыток ввода PIN-кода вход с этого адреса блокируется на 15 минут. Форма заявки ограничивает число отправок с одного адреса.
• Ограниченные по времени сессии. Вход сотрудника действует до 12 часов. При переходе по ссылке из уведомления о заявке устройство сотрудника можно запомнить не дольше 30 дней; такой вход сразу перестаёт действовать при смене PIN-кода или удалении сотрудника.
• Разграничение доступа по ролям. Администратор и тренер видят разное, а родитель в личном кабинете видит только данные своих детей.
• Резервное копирование. Перед каждым изменением база копируется на сервере, плюс хранятся ежедневные копии за последние 2 месяца.
• Аналитика только по согласию. Яндекс Метрика запускается только после согласия посетителя.

11. Права субъекта персональных данных

11.1. Субъект персональных данных (законный представитель несовершеннолетнего) имеет право:

• получать информацию, касающуюся обработки его персональных данных;
• требовать уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

11.2. Для реализации своих прав субъект персональных данных может направить запрос на адрес электронной почты: kotenev.fa@gmail.com. Оператор отвечает на запрос в течение 10 рабочих дней с момента его получения.

12. Отзыв согласия

12.1. Субъект персональных данных может отозвать своё согласие на обработку персональных данных в любой момент, направив уведомление на адрес электронной почты: kotenev.fa@gmail.com. Согласие на Яндекс Метрику можно отозвать, очистив данные Сайта в браузере: плашка cookie появится снова, и в разделе «Настроить» можно отключить «Аналитику».

12.2. После получения отзыва согласия Оператор прекращает обработку персональных данных и уничтожает их в срок, не превышающий 30 дней с момента поступления отзыва, за исключением случаев, когда обработка может быть продолжена в соответствии с законодательством Российской Федерации.

13. Заключительные положения

13.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её размещения на Сайте, если иное не предусмотрено новой редакцией.

13.2. Действующая редакция Политики размещена на странице: https://rhythmforce.ru/privacy/.

13.3. По всем вопросам, связанным с обработкой персональных данных, можно обратиться по адресу: kotenev.fa@gmail.com.